기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
필터링된 Amazon ECR 컨테이너 이미지를 계정 또는 리전 전반적으로 복제
작성자: Abdal Garuba(AWS)
환경: 프로덕션 | 기술: 컨테이너 및 마이크로서비스, DevOps | AWS 서비스: 아마존 EC2 컨테이너 레지스트리, 아마존, AWS CodeBuild, CloudWatch AWS ID 및 액세스 관리, AWS CLI |
요약
Amazon Elastic Container Registry(Amazon ECR)는 교차 리전 및 교차 계정 복제 기능을 사용하여 기본적으로 Amazon Web Services(AWS) 리전 및 계정 전반적으로 이미지 리포지토리에 있는 모든 컨테이너 이미지를 복제할 수 있습니다. (자세한 내용은 Amazon ECR의 교차 리전 복제가 도입된
이 패턴은 이미지 태그 패턴을 기반으로 AWS 계정 및 리전 전반적으로 Amazon ECR에 저장된 컨테이너 이미지를 복제하는 방법을 설명합니다. 이 패턴은 Amazon CloudWatch Events를 사용하여 사전 정의된 사용자 지정 태그가 있는 이미지의 푸시 이벤트를 수신합니다. 푸시 이벤트는 AWS CodeBuild 프로젝트를 시작하고 이미지 세부 정보를 AWS 프로젝트에 전달합니다. CodeBuild 프로젝트는 제공된 세부 정보에 따라 원본 Amazon ECR 레지스트리에서 대상 레지스트리로 이미지를 복사합니다.
이 패턴은 계정 전반적으로 특정 태그가 있는 이미지를 복사합니다. 예를 들어 이 패턴을 사용하여 프로덕션 준비가 완료된 안전한 이미지만 프로덕션 계정에 복사할 수 있습니다. 개발 계정에서는 이미지를 철저하게 테스트한 후 안전한 이미지에 사전 정의된 태그를 추가하고, 이 패턴의 절차를 사용하여 표시된 이미지를 프로덕션 계정에 복사할 수 있습니다.
사전 조건 및 제한 사항
사전 조건
소스 및 대상 Amazon ECR 레지스트리를 위한 활성 계정
이 패턴에 사용된 도구에 대한 관리 권한
테스트를 위해 로컬 시스템에 설치된 Docker
Amazon ECR에 인증하기 위한 Command Line Interface(CLI)
제한 사항
이 패턴은 한 리전에서만 소스 레지스트리의 푸시 이벤트를 감시합니다. 이 패턴을 다른 리전에 배포하여 해당 리전의 레지스트리를 감시할 수 있습니다.
이 패턴에서는 Amazon CloudWatch Events 규칙 하나가 단일 이미지 태그 패턴을 수신합니다. 여러 패턴을 확인하려는 경우 추가 이미지 태그 패턴을 수신 대기하도록 이벤트를 추가할 수 있습니다.
아키텍처
대상 아키텍처
![필터링된 Amazon ECR 컨테이너 이미지를 계정 및 지역 간에 복제하기 위한 아키텍처.](images/pattern-img/a0f635e4-3ba5-4411-b9f8-54cfc228535a/images/2cb7962d-5b45-41a2-ba8c-7a18f01b617a.png)
자동화 및 규모 조정
이 패턴은 코드형 인프라(IaC) 스크립트로 자동화하고 대규모로 배포할 수 있습니다. AWS CloudFormation 템플릿을 사용하여 이 패턴을 배포하려면 첨부 파일을 다운로드하고 추가 정보 섹션의 지침을 따르십시오.
사용자 지정 이벤트 패턴이 다른 여러 Amazon Events CloudWatch 이벤트를 동일한 AWS CodeBuild 프로젝트로 지정하여 여러 이미지 태그 패턴을 복제할 수 있지만, 여러 패턴을 지원하려면 다음과 같이 buildspec.yaml
파일 (첨부 파일 및 도구 섹션에 포함되어 있음) 의 보조 검증을 업데이트해야 합니다.
... if [[ ${IMAGE_TAG} != release-* ]]; then ...
도구
Amazon 서비스
IAM
— Identity and Access Management(IAM)를 사용하여 서비스와 리소스에 대한 액세스를 안전하게 관리할 수 있습니다. 이 패턴에서는 컨테이너 이미지를 대상 레지스트리로 푸시할 때 AWS가 CodeBuild 맡게 되는 교차 계정 IAM 역할을 생성해야 합니다. Amazon ECR
— Amazon Elastic Container Registry(Amazon ECR)는 컨테이너 이미지와 아티팩트를 어디서나 쉽게 저장, 관리, 공유, 배포할 수 있게 해주는 완전 관리형 컨테이너 레지스트리입니다. 소스 레지스트리로의 이미지 푸시 작업은 Amazon CloudWatch Events에서 픽업한 이벤트 버스로 시스템 이벤트 세부 정보를 전송합니다. AWS CodeBuild
— CodeBuild AWS는 소스 코드 컴파일, 테스트 실행, 배포 준비가 완료된 아티팩트 생성 등의 작업을 수행할 수 있는 컴퓨팅 파워를 제공하는 완전관리형 지속적 통합 서비스입니다. 이 패턴은 CodeBuild AWS를 사용하여 원본 Amazon ECR 레지스트리에서 대상 레지스트리로 복사 작업을 수행합니다. CloudWatch 이벤트 — Amazon CloudWatch Events는 AWS 리소스의 변경 사항을 설명하는 시스템 이벤트 스트림을 제공합니다. 이 패턴은 규칙을 사용하여, Amazon ECR 푸시 작업을 특정 이미지 태그 패턴과 일치시킵니다.
도구
Docker CLI
— Docker는 컨테이너를 더 쉽게 생성하고 관리할 수 있게 해주는 도구입니다. 컨테이너는 컨테이너 런타임을 지원하는 아무 플랫폼에서라도 쉽게 배포할 수 있는 하나의 장치 또는 패키지에 애플리케이션과 모든 종속성을 패키징합니다.
코드
다음과 같은 두 가지 방법으로 이 패턴을 구현할 수 있습니다.
샘플 buildspec.yaml
이 패턴으로 제공된 CloudFormation 템플릿을 사용하는 경우 buildspec.yaml
파일이 CodeBuild 리소스에 포함됩니다.
version: 0.2 env: shell: bash phases: install: commands: - export CURRENT_ACCOUNT=$(echo ${CODEBUILD_BUILD_ARN} | cut -d':' -f5) - export CURRENT_ECR_REGISTRY=${CURRENT_ACCOUNT}.dkr.ecr.${AWS_REGION}.amazonaws.com - export DESTINATION_ECR_REGISTRY=${DESTINATION_ACCOUNT}.dkr.ecr.${DESTINATION_REGION}.amazonaws.com pre_build: on-failure: ABORT commands: - echo "Validating Image Tag ${IMAGE_TAG}" - | if [[ ${IMAGE_TAG} != release-* ]]; then aws codebuild stop-build --id ${CODEBUILD_BUILD_ID} sleep 60 exit 1 fi - aws ecr get-login-password --region ${AWS_REGION} | docker login -u AWS --password-stdin ${CURRENT_ECR_REGISTRY} - docker pull ${CURRENT_ECR_REGISTRY}/${REPO_NAME}:${IMAGE_TAG} build: commands: - echo "Assume cross-account role" - CREDENTIALS=$(aws sts assume-role --role-arn ${CROSS_ACCOUNT_ROLE_ARN} --role-session-name Rolesession) - export AWS_DEFAULT_REGION=${DESTINATON_REGION} - export AWS_ACCESS_KEY_ID=$(echo ${CREDENTIALS} | jq -r '.Credentials.AccessKeyId') - export AWS_SECRET_ACCESS_KEY=$(echo ${CREDENTIALS} | jq -r '.Credentials.SecretAccessKey') - export AWS_SESSION_TOKEN=$(echo ${CREDENTIALS} | jq -r '.Credentials.SessionToken') - echo "Logging into cross-account registry" - aws ecr get-login-password --region ${DESTINATION_REGION} | docker login -u AWS --password-stdin ${DESTINATION_ECR_REGISTRY} - echo "Check if Destination Repository exists, else create" - | aws ecr describe-repositories --repository-names ${REPO_NAME} --region ${DESTINATION_REGION} \ || aws ecr create-repository --repository-name ${REPO_NAME} --region ${DESTINATION_REGION} - echo "retag image and push to destination" - docker tag ${CURRENT_ECR_REGISTRY}/${REPO_NAME}:${IMAGE_TAG} ${DESTINATION_ECR_REGISTRY}/${REPO_NAME}:${IMAGE_TAG} - docker push ${DESTINATION_ECR_REGISTRY}/${REPO_NAME}:${IMAGE_TAG}
에픽
작업 | 설명 | 필요한 기술 |
---|---|---|
CloudWatch 이벤트 역할을 생성합니다. | 원본 AWS 계정에서 Amazon CloudWatch Events가 맡을 IAM 역할을 생성합니다. 역할에는 AWS CodeBuild 프로젝트를 시작할 수 있는 권한이 있어야 합니다. CLI를 사용하여 역할을 생성하려면 IAM 설명서의 지침을 따릅니다. 예제 신뢰 정책(
예제 권한 정책(
| AWS 관리자, AWS DevOps, AWS 시스템 관리자, 클라우드 관리자, 클라우드 아키텍트, DevOps 엔지니어 |
CodeBuild 역할 생성. | IAM 설명서의 지침에 따라 AWS가 CodeBuild 맡을 IAM 역할을 생성합니다. 이 역할에는 다음과 같은 권한도 있어야 합니다.
예제 신뢰 정책(
예제 권한 정책(
다음과 같이 관리형 정책
| AWS 관리자, AWS DevOps, AWS 시스템 관리자, 클라우드 관리자, 클라우드 아키텍트, DevOps 엔지니어 |
교차 계정 역할을 생성합니다. | 대상 AWS 계정에서 원본 계정이 위임할 AWS CodeBuild 역할에 대한 IAM 역할을 생성합니다. 교차 계정 역할은 컨테이너 이미지가 새 리포지토리를 생성할 수 있게 하고, 컨테이너 이미지를 Amazon ECR에 업로드해야 합니다. CLI를 사용하여 IAM역할을 생성하려면 IAM 설명서의 지침을 따릅니다. 이전 단계의 AWS CodeBuild 프로젝트를 허용하려면 다음 신뢰 정책을 사용하십시오.
이전 단계의 AWS CodeBuild 프로젝트가 대상 레지스트리에 이미지를 저장하도록 허용하려면 다음 권한 정책을 사용하십시오.
| AWS 관리자, AWS DevOps, 클라우드 관리자, 클라우드 아키텍트, DevOps 엔지니어, AWS 시스템 관리자 |
작업 | 설명 | 필요한 기술 |
---|---|---|
CodeBuild 프로젝트 생성. | AWS CodeBuild 설명서의 지침에 따라 소스 계정에서 AWS CodeBuild 프로젝트를 생성합니다. 프로젝트는 소스 레지스트리와 동일한 리전에 있어야 합니다. 다음과 같이 프로젝트를 구성합니다.
| AWS 관리자, AWS DevOps, AWS 시스템 관리자, 클라우드 관리자, 클라우드 아키텍트, DevOps 엔지니어 |
작업 | 설명 | 필요한 기술 |
---|---|---|
이벤트 규칙을 생성합니다. | 패턴은 콘텐츠 필터링 기능을 사용하므로 Amazon을 사용하여 이벤트를 생성해야 EventBridge 합니다. EventBridge 설명서의 지침에 따라 몇 가지 수정을 거쳐 이벤트와 대상을 생성합니다.
| AWS 관리자, AWS DevOps, AWS 시스템 관리자, 클라우드 관리자, 클라우드 아키텍트, DevOps 엔지니어 |
작업 | 설명 | 필요한 기술 |
---|---|---|
Amazon ECR을 사용하여 인증합니다. | Amazon ECR 설명서의 절차에 따라 소스 및 대상 레지스트리를 모두 인증합니다. | AWS 관리자, AWS DevOps, AWS 시스템 관리자, 클라우드 관리자, DevOps 엔지니어, 클라우드 아키텍트 |
이미지 복제를 테스트합니다. | 소스 계정에서, CodeBuild 콘솔에서 CodeBuild CodeBuild 프로젝트가 성공적으로 완료되면 대상 AWS 계정에 로그인하고 Amazon ECR 콘솔을 열고 대상 Amazon ECR 레지스트리에 이미지가 있는지 확인합니다. | AWS 관리자, AWS DevOps, AWS 시스템 관리자, 클라우드 관리자, 클라우드 아키텍트, DevOps 엔지니어 |
이미지 제외를 테스트합니다. | 소스 계정에서, 사용자 지정 접두사가 없는 이미지 태그를 사용하여 컨테이너 이미지를 신규 또는 기존 Amazon ECR 소스 리포지토리에 푸시합니다. CodeBuild 프로젝트가 시작되지 않았는지, 대상 레지스트리에 컨테이너 이미지가 표시되지 않는지 확인합니다. | AWS 관리자, AWS DevOps, AWS 시스템 관리자, 클라우드 관리자, 클라우드 아키텍트, DevOps 엔지니어 |
관련 리소스
추가 정보
이 패턴에 맞게 리소스를 자동으로 배포하려면 다음 절차를 따릅니다.
첨부 파일을 다운로드하고 두 개의 CloudFormation 템플릿 (및) 을 추출하십시오.
part-1-copy-tagged-images.yaml
part-2-destination-account-role.yaml
AWS CloudFormation 콘솔에
로그인하여 원본 Amazon ECR 레지스트리와 동일한 AWS 계정 및 part-1-copy-tagged-images.yaml
지역에 배포하십시오. 필요에 따라 파라미터를 업데이트합니다. 템플릿은 다음 리소스를 배포합니다.아마존 CloudWatch 이벤트 IAM 역할
AWS CodeBuild 프로젝트 IAM 역할
AWS CodeBuild 프로젝트
AWS CloudWatch 이벤트 규칙
출력 탭에서
SourceRoleName
의 값을 기록해 둡니다. 다음 단계에서 이 값이 필요합니다.Amazon ECR 컨테이너 이미지를 복사하려는 AWS 계정에 두 번째 CloudFormation 템플릿인 을 배포합니다.
part-2-destination-account-role.yaml
필요에 따라 파라미터를 업데이트합니다.SourceRoleName
파라미터에 단계 3의 값을 지정합니다. 이 템플릿은 교차 계정 IAM 역할을 배포합니다.에픽 섹션의 마지막 단계에 설명된 대로 이미지 복제 및 제외를 검증합니다.
첨부
이 문서와 관련된 추가 콘텐츠에 액세스하려면 attachment.zip 파일의 압축을 풉니다.